DB23-T 3325-2022 平台用户信息保护指南

ICS

35.030CCS

09

DB23 DB23/T

3325—2022平台用户信息保护指南Guidelines

platform

user

information

protection2022

-

08

-

22

发布 2022

-

09

-

21

实施黑龙江省市场监督管理局 发

布DB23/T

3325—2022

II

10

.................................................... 12.............................................................................. DB23/T

3325—2022 本文件按照

GB/T

1.1—2020《标准化工作导则

部分：标准化文件的结构和起草规则》的规

IIDB23/T

3325—2022

GB/T

GB/T

GB/T

20985.2

GB/T

20985.1

GB/T

GB/T

25069-2010

GB/T

GB/T

GB/T

GB/T

GB/T

GB/T

GB/T

3.1

platform3.2

user

information3.3

minimum

collectionDB23/T

3325—20223.4

subject

of

information3.5

of

information3.6

receiver

of

personal

information3.7

information

个人、法人和非法人组织身份证件号码个人生物识别信息、银行账号、通信记录和内容、财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息、14

3.8

user

general

information3.9

personal

information

handing

4.1 4.2 4.3 DB23/T

3325—20224.4 4.5

5.15.1.1 明确用户信息保护管理目标，规划内容和范围，制定信息处理过程管理制度，并对过程管理进5.1.2 建立组织结构框架图，规定用户信息管理人员职务或职位，明确各岗位责任。

规定的中华人民共和国境外的用户信息处理者，需在中华人民共和国境内设立专门机构或者指定代表，负责处理用户信息保护相关事务，并将有关机构的名称或者代表的姓名、联系方式等报送履行用户信息保护职责5.1.3 制定并组织实施用户信息安全事件应急预案。5.1.45.1.5

5.1.6建立用户投诉渠道，用户行使权利方式宜便捷，拒绝用户行使权利请求时，应当说明理由。5.2 5.2.1能够掌握用户信息安全相关法律、法规、标准、管理制度、岗位职责及保密条款。5.2.2 5.2.35.2.4能够分析处理用户信息保护存在的问题，提出风险控制建议和技术改进指导方案。5.2.55.35.3.1建立安全环境保护制度，包括但不限于：物理环境、网络环境、计管机环境和应用环境，宜参

5.3.2建立用户信息存储相关设备和各类介质安全管理制度，对设备移入或移出保护区域，进行严格5.3.3 建立机房分区管理制度，设置不同区域，区域之间设置物理隔离装置或隔离标识，在重要区域DB23/T

3325—20225.3.4机房环境安全宜分类保护、多级保护，包括但不限于：增加防盗技术、安装报警设备、布设监5.3.5 5.3.6

GB/T

9361

5.3.7制定应用环境运行管理制度，包括但不限于：测评机构、设备供应商、电信运营商、外来参观

6.1 6.1.1 6.1.2 6.1.3

14

6.1.4 6.1.56.2DB23/T

3325—20226.2.1 6.2.26.2.3 个人生物识别信息实现身份识别、认证等功能；在使用面部识别特征、

指纹、掌纹、虹膜等实现识别身份、6.2.4 6.2.5 6.2.6当用户信息处理者停止运营其产品或服务时,停止收集用户更新的信息，对其所持有的用户信息进6.2.76.3 6.3.1DB23/T

3325—20226.3.2

6.3.36.3.46.3.5设定用户登录服务器连续失败次数（宜为

次-5

次），在用户账号冻结后，宜经系统管理员对用6.3.66.46.4.1 6.4.2 6.4.36.4.46.4.5DB23/T

3325—2022

GB/T

6.4.6

GB/T

6.5 6.5.16.5.26.5.36.5.46.5.56.5.66.6 6.6.16.6.2 DB23/T

3325—20226.6.36.7 6.7.1 6.7.26.7.36.7.46.7.56.8 6.8.16.8.26.8.3DB23/T

3325—20226.8.46.8.56.8.6

7.1 用户有权要求用户信息处理者对其用户信息处理规则进行解释说明；用户有权向用户信息处理者访问、查阅、复制其用户信息；用户发现其用户信息不准确或者不完整的，有权请求用户信息处理者更正、补充；用户有权请求将用户信息转移至其指定的用户信息处理者；7.2 对受委托者进行审计；为，且采取或要求受委托者采取有效补救措施控制或消除用户信息面临的安全风险，必要时可终止与受委托者的业务关系,并要求受委托者及时删除从用户信息控制者获得的用户信息。7.3 用户信息的处理目的、处理方式，公开，并且便于查阅和保存；DB23/T

3325—20227.4第三方用户信息处理者建立第三方产品或服务管理机制和工作流程；收集、改变用户信息前，征得用户的授权同意，做好管理记录，确保可供相关方查阅；7.5 采用云计算部署处理信息者

定期对信息系统进行安全检查和风险评估，宜采用

GB/T

24363、GB/T

提高组织用户信息保护的安全预防和预警能力，宜采用

GB/T

20985.2、GB/T

8.18.210DB23/T

3325—20228.3建立平台用户信息管理制度，明确用户信息收集、存储、使用、加工、传输、提供、公开、建立审计制定，定期开展内部或外部审计，并根据审计结果持续改善流程，完善相关制度；11GB

4943.23-2012

23

35.020

09GB/T

17903.2-2021

35.040

80GB/T

17903.3-2008

35.040

80GB/T

20009-2019

35.020

09GB/T

20261-2020

35.040

80GB/T

20273-2019

35.040

80GB/T

20275-2021

35.030

80GB/T

20277-2015

35.040

80GB/T

20278-2022

35.040

80GB/T

20281-2020

35.030

80GB/T

21050-2019

35.040

80GB/T

21052-2007

35.040

80GB/T

22239-2019

35.040

80GB/T

28450-2020

35.040

80GB/T

28454-2020

35.040

80GB/T

28458-2020

35.040

80GB/T

30276-2020

35.040

80GB/Z

32906-2016

35.040

80GB/T

34978-2017

35.040

80GB/T

34990-2017

35.040

80GB/T

36618-2018

35.040

80GB/T

37939-2019

35.040

80GB/T

37988-2019

35.040

80GB/T

37964-2019

35.040

80GB/T

40653-2021

35.030

80GB/T

40660-2021

35.030

80DB23/T

3325—2022A.1

给出了安全环境的相关标准，在使用的过程中，宜考虑标准的修订和废止，及在体系中的增12DB23/T

3325—2022

GB

4943.23-2012

23

GB/T

部分：采用对称技术的机制

GB/T

GB/T

20009-2019

GB/T

20261-2020

GB/T

20273-2019

GB/T

20275-2021

GB/T

20277-2015

GB/T

20278-2022

10

GB/T

20281-2020

GB/T

21050-2019

12

GB/T

21052-2007

13

GB/T

22239-2019

14

GB/T

28450-2020

15

GB/T

28454-2020

16

GB/T

28458-2020

17

GB/T

30276-2020

18

GB/Z

32906-2016

19

GB/T

34978-2017

20

GB/T

34990-2017

21

GB/T

36618-2018

22

GB/T

37939-2019

23

GB/T

37988-2019

24

GB/T

37964-2019

25

GB/T

40653-2021

26

GB/T

40660-2021